Сообщений в теме: 84

[Forum Moderator]

Новый IM-червь из Латинской Америки

Когда мы говорим о самых активных странах-производителях вредоносного ПО, то в первую очередь всегда называем Россию, Китай и Бразилию. Однако в последнее время в пятерке лидеров появился новичок – Мексика.

В нашем ежемесячном аналитическом отчете о ситуации с вредоносным ПО в Латинской Америке, публикуемом на Viruslist и Threatpost (оба ресурса на испанском языке) мы уже упоминали, что Мексика известна организацией локальных ботнетов.

21 августа сотрудники «Лаборатории Касперского» обнаружили новый IM-червь, который распространяется почти через все известные интернет-пейджеры, включая Skype, Google Talk, Yahoo Messenger и Live MSN Messenger. Зловреду было присвоено имя IM-Worm.Win32.Zeroll.a.

Он «говорит» на 13-ти языках (включая испанский и португальский) – в зависимости от языковой локализации Windows на зараженном компьютере. Есть основания полагать, что червь родом из Мексики. Он написан на Visual Basic и управляется через IRC-канал (старая ботнет-технология, примененная мексиканскими вирусописателями).

По данным KSN (Kaspersky Security Network), самое большое число заражений новым червем зарегистрировано в Мексике и Бразилии.

Похоже, его создатели находятся сейчас на первом этапе своего «проекта», то есть стремятся заразить как можно больше машин, чтобы затем получать выгодные предложения от других преступников, в т.ч. предусматривающие оплату за количество зараженных компьютеров, использование их для рассылки спама и др.

Стоит упомянуть, что только три антивирусных решения (включая продукты «Лаборатории Касперского») детектируют эту угрозу.

Источник

[Forum Moderator]

Отчет IBM о компьютерных угрозах за первую половину 2010 года

Компания IBM представила отчет "Security X-Force", содержащий анализ основных источников угроз и уровня опасности уязвимостей в программном обеспечении за первую половину 2010 года. В результате проведенного исследования был зафиксирован рост числа уязвимостей на 36% по сравнению с тем же периодом 2009 года. Число незакрытых уязвимостей в каждый промежуток времени на протяжении всего анализируемого периода сохраняется на уровне 55% от всего числа обнаруженных уязвимостей. Если учитывать характер уязвимости и рассматривать лишь критические уязвимости, которые могут быть использованы для удаленного распространения вредоносного кода, то эта цифра возрастает до 71%. Таким образом, можно сделать вывод, что чем более опасна уязвимость, тем больше времени компании разработчики тратят на ее устранение.
Лидерами среди разработчиков программного обеспечения, которые оставляют незакрытыми большее число уязвимостей являются Sun Microsystems (24%) и Microsoft (23.2%). В прошлом году Microsoft возглавила такой же список, оставив незакрытыми 15.8% уязвимостей, тогда как Sun - 2.6%. Третье место по незакрытым уязвимостям среди разработчиков занимает компания Mozilla (21.3%), за ней следует Apple (12.9%) и IBM (10.3%). Новичком списка стала компания Google, оставив незакрытыми около 8.6% уязвимостей, тем самым опередив Linux (8.2%). Свою прошлогоднюю позицию сохранила Oracle (6.8%), чуть меньше незакрытых уязвимостей оставила Cisco (6.0%). Покинула рейтинг разработчиков уязвимого программного обеспечения компания Hewlett-Packard (HP), у которой в прошлом году было 14.5% незакрытых уязвимостей. Компания Adobe (2.9%), оставшись на почетном последнем месте рейтинга, ненамного увеличила прошлогодний результат (2.0%). Критические уязвимости дольше всего устраняют: Google (33%), IBM (29%), Linux (20%), Microsoft (11%). Наибольшее число уязвимых приложений было создано для платформы Linux (31%), чуть менее для ОС компании Apple (29%). Однако среди критических уязвимостей бесспорным лидером стали приложения для ОС компании Microsoft (73%), на втором месте ОС Linux (16%).
Наибольшее распространение за половину 2010 года получили эксплоиты уязвимостей, наиболее простых в реализации: инъекция вредоносного кода через HCP-запрос в Microsoft Help Center; выполнение произвольного программного кода через специально сформированный PDF или SWF файл в приложениях компании Adobe; недостаточная проверка параметров запуска и установки программ через Java Web Start; обход проверки COM-объектов в Microsoft Office; выполнение кода через Microsoft DirectShow в результате открытия специально сформированного видео-файла или изображения; запуск вредоносного кода через ошибки обработки программой Microsoft Excel специально сформированного XLSX файла; уязвимости в SMB клиенте компании Microsoft, а также ошибки при обработке объектов веб-браузером Internet Explorer. Основным способом проникновения вредоносного кода в систему остается веб-браузер и программы просмотра текстовых документов (включая PDF). Самыми популярными наборами эксплоитов стали: Gumblar, Fragus, Eleonore, Phoenix и JustExploit.
Общее количество почтового СПАМа продолжает прошлогодний рост, это обусловлено увеличением источников в малоразвитых странах: Бразилии, Индии, России и Вьетнаме. Из-за введения обязательной идентификации владельцев домена .CN, увеличилось число доменов .RU, используемых для спам-рассылок (61.5% от общего числа спам-доменов), при этом местонахождение серверов в Китае сохранилось. Среди спам-сообщений преобладают сообщения в формате HTML с вставкой графического файла, который размещается на общедоступных веб-сервисах обмена изображений. Таким образом, спамеры скрывают текст сообщения от фильтров почтовых служб.
Количество фишинг-атак и их география сохранилось на уровне прошлого года. Наиболее подвержены фишинг-атакам пользователи Румынии (18.8%), США(14.5%) и Китая (11.3%). Самым распространенным типом фишинг-атаки является рассылка от лица разработчиков программного обеспечения информационных писем с требованием установить обновление безопасности, которое оказывается вредоносной программой или компьютерным вирусом. Источником таких атак являются компьютерные системы Бразилии, Индии, Южной Кореи и США.
Повсеместный переход на использование баз данных в качестве основного хранилища информации на веб-сайтах стал причиной увеличения атак с использованием SQL-инъекций. Самыми же распространенными уязвимостями на веб-сайтах остаются XSS. Большинство уязвимых веб-сайтов используют системы управления контентом сторонних разработчиков, те, кто не используют такие платформы, подвергают веб-сайт дополнительному риску. Несмотря на то, что сами платформы систем управления содержат мало уязвимостей, количество уязвимостей увеличивают различные дополнительные модули, расширяющие функциональность таких систем. Наибольшее число обнаруженных уязвимостей было зафиксировано для модулей расширения платформы Wordpress, чуть меньше для TYPO3 и Drupal, менее всего для Joomla!.
Ужесточение цензуры в некоторых странах стали причиной роста числа общедоступных анонимных веб-прокси, большинство из этих сервисов расположены на территории США, Англии и Голландии. Наиболее распространенным доменом для веб-прокси в этом первом полугодии 2010 года стал .TK и .CO.CC.

Источник

[Forum Moderator]

Появилось новое семейство червей для IM

Эксперты по безопасности предупреждают пользователей быть начеку. В сети появилось новое опасное семейство червей, которое распространяется через мессенджеры (IM). Лабораторией Касперского было обнаружено четыре варианта этих червей.

Вирус (IM-Worm.Win32.Zeroll) уникален тем, что «говорит» на 13 языках, включая английский, немецкий, испанский и португальский, а так же может распространяться через несколько клиентов одновременно, такие как Yahoo Messenger, Skype, Paltalk Messenger, ICQ, Windows Live Messenger, Google Talk и клиент XFire, который используют геймеры. Он быстро распространяется и в настоящий момент зарегистрировано большое количество заражений в Мексике, Бразилии, Перу и США.

IM-Worm.Win32.Zeroll атакует через ссылку, присылаемую от знакомых в чат клиента. Перейдя по ссылке, жертва, вместо обещанной картинки получает зараженный файл. Как только вирус получает доступ к компьютеру, он открывает список контактов, находящегося в мессенджере и начинает самостоятельно себя рассылать.

Червь так же способен осуществлять контроль над компьютером жертвы, скачивая другие вредоносные программы. Как сообщает Лаборатория Касперского, вирус управляется по различным IRC каналам, соответственно злоумышленники могут контроллировать сеть зараженных компьютеров и классифицировать их в зависимости от страны и используемого пользователем клиента.

По мнению Дмитрия Бестужева, регионального эксперта по Латинской Америке Лаборатории Касперского, создатели вируса только начинают свой криминальный путь. Они пытаются заразить как можно больше компьютеров с целью получить заказ от других мошенников на такие вещи как «оплата за установку», спам и так далее.

Источник

[Forum Moderator]

Packed.Win32.Katusha.n

Packed — особый тип детектируемых объектов, используемый для определения зловредных файлов, защищенных вредоносным упаковщиком. Главная цель вредоносного упаковщика — максимальное усложнение детектирования на различных уровнях. Модификация Packed.Win32.Katusha.n появилась в конце мая 2010 года. Ее характерным признаком стала оперативная техническая поддержка: детектирование вирусописатели пытаются сбивать в течение кратчайшего времени после выхода свежих антивирусных баз.

Конечная цель выполнения большинства зловредных упаковщиков — передать управление на исходный код упакованной вредоносной программы после его расшифровки. Katusha.n имеет довольно необычный способ получения адресов зашифрованного кода и ключа. С этой целью упаковщик ищет в системных библиотеках определенные сигнатуры и выбирает на некотором расстоянии от них всегда фиксированные на любых системах 4 байта (длина адреса на 32-х битных системах).

Затем к выбранным 4-м байтам добавляется заранее вшитое в код значение — и результат используется как адрес. Главная цель этих действий — обойти слабую эмуляцию и подложные библиотеки. Библиотеки специально выбираются различные (например, SHELL32.DLL, GDI32.DLL, VERSION.DLL).....

Читать полностью

[Forum Moderator]

Microsoft обнаружила опасный фальшивый антивирус

Компания Microsoft распространила предупреждения о новой вирусной эпидемии, распространяемой через браузеры. Программа-вредитель под кодовым названием Rogue:MSIL/Zeven автоматически определяет тип браузера, а затем очень похоже имитирует соответствующие диалоги браузера с предупреждением о вирусной угрозе. Фальшивые диалоги предупреждений почти неотличимы от настоящих – далеко не каждый пользователь сможет с первого взгляда определить подделку. Эта уловка представляет собой разновидность социальной инженерии, но в данном случае авторы вируса полагаются на то, что пользователи доверяют своим браузерам – подобная тактика обнаружена впервые. Кроме фальшивых окон с предупреждениям, вирус позволяет якобы просканировать ваши файлы. Кроме того, вирус предупреждает пользователей о неустановленных вовремя обновлениях, а еще предлагает вам изменить ваши настройки приватности и безопасности. Во время сканирования фальшивый антивирус находит зараженные файлы, однако не удаляет их, предлагая купить полную версию за деньги. Когда пользователь пытается купить продукт, открывается новое окно браузера в так называемом «безопасном режиме» с шифрованием передаваемых данных, правда в данном конкретном случае не приносит жертве никакой пользы. Наконец, веб-страница фальшивого антивируса крайне похожа на страницу известного бесплатного антивируса Microsoft Security Essentials. Скопированы даже награды, полученные пакетом MSE, и ссылка на центр антивирусной защиты Microsoft Malware Protection Center. Хотя новый вирус очень хорош (как вирус, конечно), но у него тоже есть недостатки. Его цель – заставить пользователя загрузить и установить некую программу, а также забрать у пользователя некоторую сумму, чего точно никогда не рекомендуют разработчики трех браузеров, в работу которых вмешивается новый вирус. Кроме всего прочего, страница предупреждения Firefox содержит явную опечатку ("Get me ouR of here"). Подозрительно и то, что веб-страница сообщает о гарантии на покупку. Часто оказывается, что якобы зараженные файлы, которые обнаружил фальшивый антивирус, вообще отсутствуют на компьютере. Все эти признаки должны немедленно насторожить пользователя – как бы то ни было, новая программа-вредитель отличается невиданным доселе уровнем имитации настоящих антивирусов и детализации. Несмотря на огромный прогресс в создании вирусов, пользователи могут эффективно защищаться от таких угроз, используя старое, но до сих пор актуальное правило – никогда не загружать и не устанавливать какие-либо файлы только потому, что какая-то веб-страница просит вас сделать это.

Источник

[Forum Moderator]

SMS-троянец для Android теперь рассылается с использованием техники поисковой оптимизации

|Для пользователей смартфонов, работающих на базе Android, поиск порнографических сайтов чреват дорогостоящими сюрпризами.

Исследуя источник первого SMS-троянца для Android-устройств, я обнаружил новую вредоносную программу для Аndroid, которая маскируется под проигрыватель порнографических видеороликов, а на самом деле посылает SMS-сообщения на платные номера.

SMS стоимостью $6 отправляются в фоновом режиме без ведома пользователя.

То, что при рассылке новейшего троянца для Android (детектируемого как Trojan-SMS.AndroidOS.FakePlayer. используется техника поисковой оптимизации (SEO), — явный признак заинтересованности киберпреступников в заражении мобильных устройств. Это значительный шаг вперед, подтверждающий наше мнение о том, что вредоносные программы для мобильных устройств — особенно для работающих на базе Android — способны приносить значительный доход.

Код в последнем варианте троянца напоминает первую версию, и я практически уверен, что его создает и распространяет один и тот же человек или группа лиц. В настоящее время мишенью киберпреступников служат российские пользователи Android.

У фальшивого проигрывателя порнографических роликов отсутствует пользовательский интерфейс. После установки он просто помещает иконку (фотографию с изображением «для взрослых») на экран смартфона, а при запуске приложения начинает без ведома пользователя посылать SMS на платные номера.

Вредоносная программа отсутствует в официальном магазине приложений для Android. Она распространяется через веб-сайты, однако, принимая во внимание использование техники поисковой оптимизации, есть вероятность заражения большого количества пользователей.

Как и в случае со всеми приложениями для Android, пользователь должен вручную установить приложение и предоставить ему доступ к определенным функциям операционной системы. Это должно сразу настораживать, поскольку для работы мультимедийных проигрывателей не нужен доступ к функции отправки SMS-сообщений.

Источник

[Forum Moderator]

По Сети распространяется почтовый червь

Новый червь своим примером наглядно продемонстрировал, что появившиеся десять лет назад методы распространения вредоносных программ все еще удивительно эффективны.

Вредоносная программа распространяется в виде вложений в электронные письма, в теме которых указано "Here you have..." - "Вот, посмотри...". Прикрепленный объект маскируется под документ в формате PDF, хотя на самом деле является исполняемым SCR-файлом; в теле письма содержится приглашение ознакомиться с содержанием вложенного "документа". Червь быстро распространился по Сети, и на момент публикации ресурсом V3.co.uk новостного уведомления было известно уже о 60 тыс. случаев заражения; в частности, сообщалось о массовом инфицировании компьютеров в ABC/Disney, Google, Coca-Сola и даже NASA.

Маркус Сакс, руководитель SANS Institute, опубликовал рекомендации по защите от нового червя, в которых сообщил ряд дополнительных фактов о вредоносной программе. В частности, он указал, что, будучи запущенным, вложенный SCR-файл загружает из Сети ряд других объектов; также червь пытается вывести из строя антивирусную защиту компьютера и получает доступ к базе данных почтового клиента Outlook в целях своего дальнейшего распространения.

По сведениям McAfee, вредоносная программа устанавливает в пораженную систему резидентное приложение с именем CSRSS.EXE, распространяет свои копии посредством электронной почты, доступных удаленных компьютеров, сетевых дисков и съемных носителей. Также червь устанавливает утилиты для извлечения паролей (ChromePass, OperaPassview) и утилиту PSExec от Sysinternals, упакованные при помощи UPX, а, кроме того, подменяет файл HOSTS.

Пресс-секретарь DHS Ами Кадуэ отметила в официальном уведомлении, что в US-CERT поступили многочисленные сообщения об инфекции - как от федеральных агентств, так и от организаций частного сектора. В настоящее время US-CERT осуществляет сбор образцов вредоносной программы и их анализ в целях разработки рекомендаций по дезинфекции.

Поисковая фраза “here you have virus email” уже вошла в десятку наиболее популярных запросов в Google. Похоже, что многих застала врасплох эта старомодная атака - распространение вредоносных программ по электронной почте переживало свой расцвет десять лет назад, и сейчас эта практика считается устаревшей, но, похоже, годы не убавили ей эффективности.

Обнаружить инфекцию довольно легко - по огромному количеству сетевого трафика, который она генерирует. Кроме того, продукты всех антивирусных поставщиков первого эшелона уже детектируют нового червя.

Источник

[Forum Moderator]

Рейтинг вредоносных программ, август 2010

Месяц ознаменовал значительный рост активности эксплуатации уязвимости CVE-2010-2568. Она используется как нашумевшим в конце июля сетевым червем Worm.Win32.Stuxnet, так и троянцем-дроппером, устанавливающим на зараженный компьютер последнюю модификацию заражающего вируса Sality — Virus.Win32.Sality.ag. Как и ожидалось, злоумышленники сразу же «взяли в оборот» новую дыру в наиболее популярной в настоящее время версии ОС Microsoft Windows. Но уже второго августа Microsoft был выпущен патч MS10-046, закрывающий уязвимость. Это обновление идет с пометкой «Critical», что означает обязательную установку всем пользователям системы.
Вредоносные программы, обнаруженные на компьютерах пользователей

В первой таблице представлен TOP 20 вредоносных и потенциально нежелательных программ, которые были обнаружены и обезврежены на компьютерах пользователей.

Первая половина рейтинга, как и в прошлом месяце, за исключением небольших перемещений остается практически неизменной.

Сетевой червь Kido (1-е, 3-е, 4-е место) и заражающие вирусы Virus.Win32.Virut.ce (8-е место), Virus.Win32.Sality.aa (2-е место) уверенно удерживают свои позиции. Это же относится и к эксплойтам, эксплуатирующим уязвимость CVE-2010-0806 — Trojan.JS.Agent.bhr (5-е место) и Exploit.JS.Agent.bab (6-е место).

В июльском рейтинге мы упоминали о новой уязвимости LNK-ярлыков Windows, которая позже была обозначена как CVE-2010-2568. Как мы и предполагали, эта уязвимость стала популярной у злоумышленников: в августе в рейтинг попали сразу три зловреда, так или иначе связанные с CVE-2010-2568. Два из них — эксплойты Exploit.Win32.CVE-2010-2568.d (9-е место) и Exploit.Win32.CVE-2010-2568.b (12-е место), непосредственно эксплуатирующие уязвимость. Третий, Trojan-Dropper.Win32.Sality.r (17-е место), использует эту уязвимость для своего распространения. Он генерирует уязвимые LNK-ярлыки с названиями, привлекательными для пользователей, и распространяет их по локальной сети. Когда пользователь открывает папку, содержащую такой ярлык, происходит запуск зловреда. Основная задача Trojan-Dropper.Win32.Sality.r — установить в систему последнюю модификацию заражающего вируса Sality — Virus.Win32.Sality.ag(16-е место).

Что интересно, оба эксплойта к уязвимости CVE-2010-2568, попавшие в рейтинг, чаще всего детектируются на компьютерах пользователей в России, Индии и Бразилии. Если Индия — это основной источник распространения червя Stuxnet (первого зловреда, использующего данную уязвимость), то с Россией не все понятно.

Географическое распределение Trojan-Dropper.Win32.Sality.r аналогично распределению эксплойтов.

Еще один новичок рейтинга — очередной представитель рекламных программ. На этот раз в TOP 20 попал AdWare.WinLNK.Agent.a (15-е место). Он представляет собой ярлык, при запуске которого происходит переход по рекламной ссылке. Сам ярлык устанавливается различными рекламными программами......

Читать полностью

[Forum Moderator]

Червь Stuxnet - начало новой эры кибервойн.

Эксперты "Лаборатории Касперского" провели исследование червя Stuxnet и пришли к неутешительному выводу, что данная вредоносная программа знаменует собой начало новой эры кибервойн.

Специалисты антивирусной компании отмечают, что на данный момент нет достаточной информации, позволяющей идентифицировать организаторов атаки или цель, на которую она направлена. Однако несомненно, что это технически сложная атака, за которой стоит хорошо финансируемая, высококвалифицированная команда, обладающая глубокими знаниями в области технологии SCADA. По мнению аналитиков "Лаборатории Касперского", подобная атака могла быть осуществлена только с поддержкой и с одобрения суверенного государства.

"Я думаю, что это поворотный момент - теперь мы живем в совершенно новом мире, потому что раньше были только киберпреступники, а теперь, боюсь, пришло время кибертерроризма, кибероружия и кибервойн, - сказал Евгений Касперский, соучредитель и генеральный директор "Лаборатории Касперского". - Эта вредоносная программа предназначена не для кражи денег, рассылки спама или воровства личных данных - нет, этот зловред создан для вывода из строя заводов, повреждения промышленных систем. Девяностые были десятилетием кибервандалов, двухтысячные - эпохой онлайн-преступников, теперь наступает эра цифрового терроризма".
Изучив червя, эксперты "Лаборатории Касперского" обнаружили, что он использовал четыре различные неизвестные ранее уязвимости "нулевого дня" (zero-day) и два действительных сертификата (выпущенных компаниями Realtek и JMicron), которые позволили зловреду долгое время избегать попадания на экраны антивирусных радаров. Конечной целью червя был доступ к системам предприятий Simatic WinCC SCADA, которые используются для мониторинга и управления промышленными, инфраструктурными и сервисными процессами. Подобные системы широко применяются в нефтепроводах, электростанциях, крупных системах связи, аэропортах, судах и даже на военных объектах по всему миру.

"Лаборатория Касперского" считает, что Stuxnet представляет собой прототип кибероружия, создание которого повлечет за собой новую всемирную гонку вооружений. На сей раз это будет гонка кибервооружений.

Источник

[Forum Moderator]

Антивирусный прогноз погоды: облачно

В последнее время, просматривая ресурсы интернета или участвуя в различных обсуждениях, неизбежно встречаешь материалы и высказывания, связанные с использованием «облачных» технологий в антивирусной защите.

Мнений великое множество: начиная от обвинений производителей в откровенном пиаре при полном отсутствии пользы от антивирусных «облаков» до утверждений, что эти «облака» являются панацеей от всех бед. В обсуждениях принимают участие как пользователи, так и эксперты по безопасности, у которых также нет единства во взглядах.

Попытка разобраться в истинном положении дел и является целью данной публикации. В данной статье речь пойдет только о взаимодействии в реальном времени персональных антивирусных продуктов, установленных на компьютерах пользователей, с «облачной» инфраструктурой производителя антивируса. SaaS/hosted-сервисы в статье обсуждаться не будут.

Для упрощения инфраструктуру антивирусной компании, которая используется для обработки информации, полученной с компьютеров пользователей персонального продукта, и выявляет новые недетектируемые угрозы, мы назовем антивирусным «облаком». Предвидя возражения по поводу корректности применения термина «облако» к подобному взаимодействию, сошлемся на уже сложившуюся практику использования этого термина в таком контексте. Обсуждение справедливости применения подобного названия мы предлагаем оставить за рамками данной статьи.

В статье будет дан ответ на вопрос, что в действительности представляют собой антивирусные «облака», каковы их преимущества и недостатки. Публикация ориентирована в первую очередь на читателя, который пытается разобраться в том, что такое «облачная» антивирусная защита, понять общие принципы ее работы, и какое место она занимает в антивирусной защите пользователя.

текст полностью

[Forum Moderator]

Рейтинг вредоносных программ, сентябрь 2010

Лаборатория Касперского» представляет вниманию пользователей сентябрьские рейтинги вредоносных программ.

Обе двадцатки пополнились сравнительно небольшим количеством новых зловредов. Стоить отметить появление новой связки: дроппер Trojan-Dropper.Win32.Sality.cx устанавливает на зараженный компьютер Virus.Win32.Sality.bh. При этом дроппер использует для распространения уязвимость в WinLNK файлах (ярлыках). Следует обратить внимание и на значительное снижение количества эксплойтов к популярной в августе уязвимости в Windows Help and Support Center CVE-2010-1885. Еще одна особенность сентября: в TOP 20 вредоносных программ в интернете количество эксплойтов сравнялось с количеством рекламных программ.

Отметим, что в обеих таблицах не присутствуют данные по эвристическому детектированию, на которое в настоящее время приходится до 25-30% всех детектируемых зловредов. В дальнейшем мы планируем предоставлять более подробные данные по эвристическому детектированиюм.
Вредоносные программы, обнаруженные на компьютерах пользователей

читать полностью

[Forum Moderator]

WinPatrol обвиняет McAfee в саботаже

Антивирус компании McAfee идентифицировал новую версию приложения WinPatrol 19 как потенциально опасное программное обеспечение. Компания WinPatrol выдвинула претензии McAfee в том, что из-за медлительности последних они могут потерять бизнес.

Как стало известно, в первых числах октября, была выпущена новая версия приложения для системного мониторинга WinPatrol. При попытке установки приложения совместно с антивирусом от McAfee, последний идентифицировал его как троянскую программу Artemis. Антивирусные приложения других вендоров троянца не видели. WinPatrol потребовала исправить ошибку.

McAfee, вместо того, чтобы просто добавить приложение в список доверенных программ, решили провести дополнительные тесты, отправив приложение в свою лабораторию в Индии. Пока проводилось исследование, разработчик WinPatrol Билл Питлован, не дожидаясь результатов, заменил инсталляционный пакет приложения.

А спустя неделю и McAfee исправила оплошность.

В последней версии WinPatrol включен способ обнаружения угроз на основе облачных технологий. В программном обеспечении предусмотрен как системный мониторинг, так и возможность предотвращения вторжений на хост.

Источник

[Forum Moderator]

Файловый вирус с генератором доменов

В дикой природе обнаружен резидентный файловый вирус, снабженный генератором доменных имен для загрузки и исполнения вредоносных ехе-файлов из интернета.

PE_LICAT, или Murofet (ЛК детектирует его как Virus.Win32.Murofet), является приложением Windows и инфицирует ре-файлы во время их запуска, внедряя свой код в конец первой секции файла. Основная подпрограмма заражения прописывается в адресном пространстве процесса explorer.exe и пытается связаться с рядом серверов, размещенных в зоне .biz, .com, .info, .org или .net. Список из 8 0 0 ссылок формируется по специальному алгоритму, который вычисляет псевдослучайные значения в зависимости от текущего времени и даты в системе-жертве. Все сгенерированные URL имеют вид http://<имя домена>/forum/. Файлы, загружаемые с актуальных адресов, сохраняются во временном каталоге текущего пользователя и перед исполнением подвергаются верификации.

В Trend Micro исследовали сэмпл PE_LICAT и обнаружили, что большинство доменных имен, которые он сгенерировал, пока еще не зарегистрированы. Некоторые из доменов, оказавшихся активными, ассоциированы с инфраструкторой ZeuS. Содержимое ехе-файлов, которые вирус пытался загрузить, удалось определить как вредоносную программу, родственную ZeuS и наделенную функционалом даунлоудера. Образец даунлоудера, который анализируют вирусологи из Trend Micro, загружает одну из копий PE_LICAT.

Новый вирус не имеет фискированных размеров, не зашифрован, не обладает деструктивным функционалом и ориентирован на платформы Windows 2000, XP, Server 2003. Зараженные ре-файлы не способны передавать инфекцию. Ареал обитания PE_LICAT невелик и, по данным Trend Micro, пока ограничивается Северной Америкой и Европой, с незначительным присутствием в Латинской Америке. Страной происхождения вируса предположительно является Италия.

Источник

[Forum Moderator]

Блокировщики сайтов распространяются вместе с плеером Fusion Media Player

Компания «Доктор Веб» сообщила о широком распространении вредоносных программ семейства Trojan.HttpBlock, которые за восстановление доступа к популярным интернет-ресурсам требуют отправить платное СМС-сообщение на короткий номер 6681. В настоящее время обращения по поводу лечения компьютера от Trojan.HttpBlock составляют около 80% всех запросов в бесплатную техническую поддержку компании «Доктор Веб» для пользователей, пострадавших от интернет-мошенничества. Начало распространения троянцев семейства Trojan.HttpBlock было зафиксировано 22 сентября 2010 года. Заражая компьютер, эти вредоносные программы модифицируют системный файл hosts и тем самым блокируют доступ к популярным сайтам. Trojan.HttpBlock является новым витком развития троянцев, которые используют интернет-мошенники. Он учитывает и обходит сложности, с которыми злоумышленники сталкивались ранее. В отличие от троянцев семейства Trojan.Hosts, которые также блокируют доступ к популярным интернет-ресурсам, перенаправляя браузер на вредоносные сайты, Trojan.HttpBlock перенаправляет пользователя на веб-сервер, устанавливаемый на его же компьютере. Таким образом злоумышленники значительно упрощают себе задачу. В самом деле, авторам Trojan.HttpBlock не нужно постоянно искать новый хостинг для страниц. Также нет необходимости маскировать страницу под дизайн доверенного сайта, чтобы усыпить бдительность пользователя. Trojan.HttpBlock выводит в интернет-браузере текстовую страницу, на которой сообщается, что доступ в Интернет был заблокирован за посещение сайтов взрослой тематики, и для его восстановления необходимо отправить платное СМС-сообщение на короткий номер 6681. Также возникают сложности при попытке воспользоваться утилитами для анализа зараженной системы: троянец завершает работу некоторых опасных для себя процессов в соответствии со списком, составленным авторами программы. При этом троянец рассчитан и на пользователей 64-битных систем – Trojan.HttpBlock имеет возможность завершать работу как 32-битных, так и 64-битных процессов в 64-битных версиях Windows. В последних модификациях Trojan.HttpBlock вирусописатели шифруют некоторые строки, что затрудняет анализ соответствующих вредоносных файлов. Распространяется Trojan.HttpBlock в виде дистрибутива медиаплеера Fusion Media Player через сайты с бесплатным контентом, как правило, предлагающие пиратское программное обеспечение. На таких сайтах часто открываются дополнительные всплывающие окна, некоторые из которых похожи на сайты с роликами для взрослой аудитории. При попытке проиграть любой из предлагаемых видеороликов предлагается скачать и установить видеоплеер. Если пользователь соглашается с этим предложением, то загружается дистрибутив в формате msi. Он действительно содержит Fusion Media Player, но вместе с плеером устанавливается и троянец. Многие принимают решение устанавливать данный дистрибутив именно из-за того, что у него не exe-формат, а msi, т.к. среди пользователей существует стереотип о том, что вредоносные программы могут распространяться только в exe-формате. Тот факт, что видеоплеер в системе все же устанавливается, снижает вероятность того, что пользователь свяжет заражение системы с установленным плеером. В большинстве случаев для лечения системы достаточно произвести сканирование с помощью бесплатной лечащей утилиты Dr.Web CureIt!

Источник

[Forum Moderator]

Через zero-day уязвимость Firefoх распространяется новый троян

Исследователи в области безопасности компании Norman обнаружили ранее неизвестную угрозу, которая эксплуатирует незакрытую zero-day уязвимость браузера Mizilla Firefoх 3.5 и 3.6 версий.

Вчера на сайте Nobel Prize был обнаружен вредонос, который распространяется через zero-day уязвимость браузера Firefoх. В случае успешной атаки, на компьютер жертвы устанавливается неизвестный ранее троян - Belmoo.

Как сообщают исследователи, инсталляционный файл трояна проникает в систему под видом исполняемого файла symantec.exe, самостоятельно копируясь в папку <%WINDOWS%> \temp и прописываясь в регистре
Microsoft Windows Update"="[WINDIR]\temp\symantec.exe" в ключе "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".
"Microsoft Windows Update"="[WINDIR]\temp\symantec.exe" в ключе "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".

Далее троян пытается установить соединение с nobel.usagov.mooo.com и update.microsoft.com.
Как полагают эксперты, второй адрес используется для осуществления соединения через порт 8 0 (HTTP), но пока не ясно с какой целью.

После попытки соединения с вышеуказанными адресами, троян пытается подключиться к l-3com.dyndns-work.com
и l-3com.dyndns.tv через протокол TCP используя порты 443 и 8 0, соответственно.

При успешной инсталляции трояна и осуществлении соединения, злоумышленник получает полный контроль над системой жертвы, с соответствующими привилегиями.

Исследователи предупреждают пользователей быть более осторожными при посещении различных ресурсов, поскольку данный вредонос может быть уже и на других сайтах.

Источник

[Forum Moderator]

«Касперский» был атакован группой хакеров

Американский сайт «Лаборатории Касперского» начал распространять среди своих пользователей вредоносное программное обеспечение. Сообщение об этом инциденте появилось на официальном форуме компании. Сразу три американских пользователя подтвердили факт заражения.

Информационное издание The Register опубликовало на своих страницах сообщение пользователя wcking3, который обращался в службу поддержки компании. После того, как пользователь рассказал оператору о заражении отцовского компьютера, представители «Лаборатории Касперского» стали отрицать факт взлома ресурса. По мнению специалистов антивирусной компании, компьютер пользователя стал жертвой фишеров, которые направили его с официального сайта на поддельный ресурс.

Чуть позже пресс-служба компании все же подтвердила тот факт, что хакеры взломали ресурс kasperskyusa.com, что привело к перенаправлению пользователей на зараженные сайты. Представители «Лаборатории Касперского» установили, что перенаправление осуществлялось в течение трех часов, но заражение происходило только в том случае, если пользователи скачивали и устанавливали поддельный антивирус.

Источник

[Forum Moderator]

Под видом утилиты для удаления червя Stuxnet распространяется вирус

Согласно данным антивирусной компании Symantec, инцидент с червем Stuxnet, поразившим ряд промышленных объектов, получил неожиданное продолжение: злоумышленники выпустили троянскую программу, распространяющуюся под видом бесплатной утилиты «для удаления Stuxnet с заражённого компьютера».

Родоначальник «вирусов-террористов» W32.Stuxnet представляет угрозу для промышленных предприятий, поскольку его действие направленно на системы управления промышленным оборудованием. Посредством Stuxnet злоумышленники пытаются установить контроль над производственными процессами и системами, такими как сборочные конвейеры и электростанции.

«Удалением Stuxnet озабочены многие, однако забывая, что бесплатный сыр бывает только в мышеловке, и веря в чудодейственные утилиты, они рискуют еще больше навредить своим системам, – заявил Олег Шабуров, старший системный инженер Symantec в России и СНГ. – Нам не известно, пострадали ли от этой утилиты системы промышленных предприятий, зараженных Stuxnet, но, несомненно, многие рядовые пользователи с этим столкнулись».

Как показали исследования Symantec, на различных форумах обсуждается некое бесплатное средство для удаления Stuxnet, однако в действительности данное средство само является вредоносным ПО (антивирус Symantec определяет данную вредоносную программу как Trojan.Fadeluxnet). Специалисты Symantec провели анализ образца данной утилиты. В свойствах исполняемого файла этой утилиты утверждается, что она предоставлена корпорацией Microsoft, на что указывают следующие поля: «Название (Description): Microsoft Stuxnet Cleaner» и «Авторские права (Copyright): Microsoft Corporation». Как удалось выяснить специалистам Symantec, на самом деле данная программа не является разработкой Microsoft. Если пользователь запустит исполняемый файл, то программа сначала изменит некоторые ключи реестра, отвечающие за ассоциацию действий пользователя с файлами с расширением .exe, .mp3, .jpg, .bmp и .gif, что сделает данные файлы непригодными для использования и заблокирует их запуск, а затем она прервёт работу различных процессов. Что хуже всего, программа удаляет все файлы с диска «С» (включая Stuxnet, если он был на этом диске).

Источник

[Forum Moderator]

Не все то KIS, что красная табличка

Чтобы при открытии файла hosts данные, добавленные троянцем, не были видны сразу, они записаны в конец файла после пустой незаполненной области, получившейся в результате перевода строк.

В измененном файле hosts прописано около 100 наиболее популярных у российских пользователей сайтов.

При попытке пользователя зараженного компьютера выйти на любой из этих сайтов (кроме vkontakte.ru), он перенаправляется на сервер, который выводит в браузере следующее сообщение, оформленное в стиле Web-антивируса ЛК:

.....читать полностью.....

Прикрепленные файлы

•  32701.jpg   25,2К   2 Количество загрузок:

[Forum Moderator]

Новый вымогатель модифицирует MBR

Обнаружен новый троянский вымогатель, который блокирует загрузку операционной системы и требует денег за возможность ее нормального запуска. Особенность этой вредоносной программы состоит в том, что она записывает себя в загрузочный сектор жесткого диска.

Заметим, что этот образец появился практически сразу после выхода новой версии печально известного шифровальщика GPCode, который производит криптование пользовательских данных и требует 120 долларов за предоставление дешифровочного ключа. Специалисты Лаборатории Касперского, обнаружившие вымогателя, дали ему наименование Trojan-Ransom.Win32.Seftad.a; сообщается, что этот вредоносный продукт распространяется посредством одного из последних вариантов троянского загрузчика Oficla.

Будучи запущенным, вирус перезаписывает MBR жесткого диска, добавляя туда собственный код, а затем вызывает перезагрузку операционной системы. После этого ОС перестает запускаться; вместо этого на экране отображается надпись "Ваш компьютер заблокирован. Все жесткие диски были зашифрованы. Перейдите на сайт www.[link].ru, чтобы получить доступ к вашей системе и всем файлам. Любая попытка восстановить информацию каким-либо другим способом приведет к потере данных !!! Запомните ваш уникальный номер: [далее указывается идентификатор из нескольких цифр]; с его помощью будет сгенерирован пароль. Введите пароль: _"

Перейдя на указанный в сообщении сайт, пользователь узнает, что за пароль нужно заплатить 100 долларов. Однако можно обойтись и без этого, поскольку шифрование данных на самом деле не производится - достаточно лишь подобрать пароль или восстановить загрузочный сектор. Для разблокировки ПК специалисты Лаборатории Касперского советуют пострадавшим воспользоваться соответствующим сервисом - http://support.kaspe...ruses/deblocker , либо задействовать бесплатный аварийный диск Kaspersky Rescue Disk 10.

На русском языке технические подробности изложены в блоге Securelist.

Судя по характерным признакам, "корни" вымогателя следует искать в России или странах СНГ.

источник

[Forum Moderator]

Еще один троянец-вымогатель - теперь в MBR

Этот вымогатель шифрует пользовательские файлы криптоалгоритмами RSA-1024 и AES-256. Мы продолжаем наши исследования данной вредоносной программы и сообщим о всех изменениях.

Но GpCode.ax – не единственный троянец-вымогатель, найденный нами за последние сутки. Мы также обнаружили вредоносную программу, которая перезаписывает главную загрузочную запись (MBR) и требует деньги для получения пароля, необходимого для восстановления оригинального MBR. Вредоносная программа детектируется нами как Trojan-Ransom.Win32.Seftad.a и Trojan-Ransom.Boot.Seftad.a. Другая вредоносная программа Trojan.Win32.Oficla.cw ответственна за загрузку нового вымогателя на машину жертвы.

Читать полностью